EU-US Data Privacy Framework (DPF)

Definition: Das EU-US Data Privacy Framework (DPF) ist ein am 10. Juli 2023 von der Europäischen Kommission per Angemessenheitsbeschluss anerkanntes Datenschutzabkommen zwischen der Europäischen Union und den Vereinigten Staaten von Amerika. Es ermöglicht die Übermittlung personenbezogener Daten von EU-Unternehmen und -Organisationen an zertifizierte US-Unternehmen, ohne dass hierfür zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln (SCC) oder verbindliche interne Datenschutzvorschriften erforderlich sind. Das DPF ist der dritte Anlauf für ein transatlantisches Datenschutzabkommen nach dem Safe-Harbor-Abkommen (2000–2015) und dem EU-US Privacy Shield (2016–2020), die beide durch Urteile des Europäischen Gerichtshofs (EuGH) für ungültig erklärt wurden (Schrems I, 2015 und Schrems II, 2020). Rechtsgrundlage des DPF ist eine US-Präsidialverordnung (Executive Order 14086, „Enhancing Safeguards for United States Signals Intelligence Activities"), die den US-Nachrichtendiensten Einschränkungen beim Zugriff auf europäische Daten auferlegt und einen neuen Rechtsbehelfsmechanismus für EU-Bürger einführt – den sogenannten Data Protection Review Court (DPRC). Das DPF ist für das digitale Marketing von erheblicher praktischer Bedeutung, da nahezu alle gängigen Marketing-Technologieplattformen – darunter Google (Analytics, Ads), Meta (Facebook, Instagram Ads), Salesforce, HubSpot und viele weitere – US-amerikanischen Ursprungs sind und Daten von EU-Nutzern in die USA übermitteln.

Erläuterung

Der transatlantische Datentransfer ist für das internationale digitale Marketing unverzichtbar. Die Nutzung von US-amerikanischen Marketing-Clouds, CRM-Systemen, Analytics-Tools und Werbeplattformen setzt voraus, dass personenbezogene Daten von EU-Nutzern rechtssicher in die USA übermittelt werden dürfen. Das DPF schafft hierfür – zumindest solange es Bestand hat – eine vereinfachte rechtliche Grundlage.

US-Unternehmen können sich beim US-Handelsministerium (Department of Commerce) selbst-zertifizieren, indem sie sich zur Einhaltung der DPF-Datenschutzprinzipien verpflichten. Diese Prinzipien umfassen unter anderem Transparenz über die Datenverarbeitung, Zweckbindung, Datensicherheit, Zugangsrechte für betroffene Personen sowie die Möglichkeit, Beschwerden einzureichen. Eine öffentlich zugängliche Liste aller zertifizierten Unternehmen ist unter dataprivacyframework.gov abrufbar. Zu den zertifizierten Unternehmen gehören zahlreiche bekannte Marketing-Technologieanbieter, darunter Google LLC, Meta Platforms Inc., Amazon Web Services, Salesforce, HubSpot und viele weitere.

Trotz der praktischen Erleichterungen ist das DPF politisch und rechtlich umstritten. Die österreichische Datenschutzorganisation noyb (none of your business) unter Max Schrems hat unmittelbar nach dem Angemessenheitsbeschluss Klagen beim Europäischen Gerichtshof angekündigt, um auch das DPF zu Fall zu bringen. Kritiker bemängeln, dass die Executive Order keine ausreichende Einschränkung der US-Nachrichtendienstbefugnisse biete, da sie jederzeit durch eine neue Präsidialverordnung geändert werden könne, und dass der DPRC keine echte gerichtliche Unabhängigkeit aufweise. Angesichts der Vorgeschichte mit Safe Harbor und Privacy Shield besteht ein reales Risiko, dass das DPF erneut durch den EuGH für ungültig erklärt werden könnte.

Voraussetzungen und Funktionsweise der DPF-Zertifizierung

Selbst-Zertifizierung: US-Unternehmen zertifizieren sich freiwillig beim US-Handelsministerium und verpflichten sich zur Einhaltung der DPF-Prinzipien. Die Zertifizierung muss jährlich erneuert werden.
DPF-Prinzipien: Zertifizierte Unternehmen müssen die DPF-Datenschutzprinzipien einhalten – darunter Transparenz, Zweckbindung, Datensicherheit, Datenintegrität, Zugangsrechte und Durchsetzungsmechanismen.
Beschwerdemechanismus: EU-Bürger können sich bei zertifizierten Unternehmen, alternativen Streitbeilegungsstellen, der FTC oder dem neuen DPRC beschweren.
Überprüfung durch US-Behörden: Das US-Handelsministerium und die Federal Trade Commission (FTC) überwachen die Einhaltung der DPF-Verpflichtungen durch zertifizierte Unternehmen.

Praktische Bedeutung und Risiken für Marketing-Verantwortliche

Vereinfachte Drittlandtransfers: Für Transfers an zertifizierte US-Unternehmen entfallen grundsätzlich zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln – vorausgesetzt, der Angemessenheitsbeschluss hat Bestand.
Dokumentationspflicht: Trotz DPF müssen Unternehmen im Verarbeitungsverzeichnis dokumentieren, an welche US-Dienstleister Daten übermittelt werden, und die DPF-Zertifizierung der Empfänger regelmäßig überprüfen.
Fallback-Strategie: Angesichts der Rechtsunsicherheit empfehlen viele Datenschutzexperten, parallel zu DPF auch Standardvertragsklauseln als sekundäre Rechtsgrundlage abzuschließen, um bei einer Aufhebung des Angemessenheitsbeschlusses handlungsfähig zu bleiben.
Auswirkungen auf die Drittstaatendiskussion: Auch nach DPF bleibt die Drittstaatenproblematik bei US-Diensten ein datenschutzrechtliches Dauerthema – insbesondere für Behörden, Gesundheitsdienstleister und andere sensible Bereiche.

Praxistipp: Prüfen Sie unter dataprivacyframework.gov regelmäßig, ob Ihre US-Dienstleister unter dem DPF zertifiziert sind, und dokumentieren Sie die Zertifizierung in Ihrem Verarbeitungsverzeichnis. Schließen Sie zusätzlich Standardvertragsklauseln als Backup ab, falls das DPF erneut durch den EuGH gekippt werden sollte. Überprüfen Sie, ob Ihre Datenschutzerklärung korrekt auf das DPF als Rechtsgrundlage für Drittlandtransfers hinweist – und ob Ihre Hinweise auf die Rechtsbehelfe für betroffene Personen aktuell sind.